Trattamento dei dati personali nei procedimenti ABF e uso dell’intelligenza artificiale secondo la Banca d’Italia

Con il Provvedimento 3 settembre 2026, pubblicato in G.U. 16 settembre 2026, n. 215, la Banca d’Italia ha regolato il trattamento dei dati personali svolto nelle attività di supporto all’Arbitro Bancario Finanziario. Il tema centrale riguarda l’equilibrio tra gestione digitale dei ricorsi, tutela dei dati e ruolo dell’intelligenza artificiale nell’istruttoria.

La scelta regolatoria è netta: strumenti di ricerca avanzata, sistemi di IA e tecnologie correlate possono agevolare l’analisi documentale, ma non determinano l’esito del ricorso. La decisione resta affidata alla valutazione umana del collegio o del Presidente, secondo le rispettive competenze.

Ambito del trattamento e attività di supporto all’ABF

Il provvedimento individua le tipologie di dati personali trattati dalla Banca d’Italia, le operazioni consentite e le misure di sicurezza applicabili nello svolgimento delle funzioni di supporto all’ABF.

Le attività considerate riguardano tre principali nuclei informativi:

• la documentazione relativa alla nomina, al rinnovo, alla decadenza e alla revoca dei componenti dei collegi;
• i dati contenuti negli atti dei procedimenti ABF;
• l’analisi della documentazione dei ricorsi, anche mediante strumenti di ricerca avanzata, sistemi di IA e tecnologie correlate.

Il trattamento può quindi riguardare sia informazioni organizzative riferite agli organi decidenti, sia dati contenuti nei fascicoli dei ricorsi presentati all’Arbitro Bancario Finanziario.

Base giuridica del trattamento

La base giuridica è individuata nell’art. 6, paragrafo 1, lettere c) ed e), GDPR e nell’art. 2 ter del Codice privacy. Il trattamento è infatti necessario, da un lato, per adempiere obblighi legali e, dall’altro, per svolgere compiti connessi all’esercizio di pubblici poteri.

La disciplina contempla anche il possibile trattamento di categorie particolari di dati personali e di dati relativi a condanne penali e reati. Tale trattamento deve avvenire nei limiti previsti dagli artt. 9 e 10 GDPR.

Intelligenza artificiale nell’istruttoria dei ricorsi

Il profilo più innovativo del provvedimento riguarda l’impiego dell’intelligenza artificiale nelle attività preparatorie e di supporto. Gli strumenti indicati possono essere utilizzati per ricercare precedenti, verificare elementi rilevanti ai fini della ricevibilità del ricorso, individuare ricorsi analoghi e ricostruire orientamenti ricorrenti dell’ABF attraverso decisioni anonimizzate.

Funzione ausiliaria degli strumenti tecnologici

La Banca d’Italia delimita con precisione il ruolo di tali strumenti. L’IA non interpreta i fatti, non applica la legge al caso concreto e non sostituisce la valutazione dell’organo decidente. Anche la decisione sull’ammissibilità resta rimessa al collegio o al Presidente.

In questa impostazione, la tecnologia opera come supporto conoscitivo e organizzativo. Non assume la funzione di giudizio, né trasforma il procedimento ABF in un procedimento automatizzato.

Assenza di decisione automatizzata

I sistemi utilizzati non sono qualificati come sistemi di IA ad alto rischio, poiché non influenzano materialmente il processo decisionale. Inoltre, non producono decisioni basate unicamente su trattamenti automatizzati ai sensi dell’art. 22 GDPR.

Il provvedimento esclude anche attività di profilazione o di predizione dei comportamenti. Il dato personale viene trattato per finalità connesse alla gestione e all’analisi dei ricorsi, non per costruire valutazioni predittive sulla condotta degli interessati.

Misure di sicurezza e controllo degli accessi

La disciplina non si limita a individuare la base giuridica del trattamento, ma prevede un sistema di cautele operative. Tra le misure indicate assumono rilievo le limitazioni degli accessi, il tracciamento dei log, i backup, la protezione degli apparati, la formazione degli operatori e le verifiche periodiche sui privilegi autorizzativi.

Queste misure sono funzionali a garantire che il trattamento dei dati personali nei procedimenti ABF avvenga secondo criteri di sicurezza, tracciabilità e controllo interno.

Tempi di conservazione dei dati

Il provvedimento disciplina anche i tempi di conservazione, differenziandoli in base alla tipologia di dato e alla funzione svolta.

• Venti anni per i dati relativi ai componenti dell’organo decidente.
• Trenta anni per la documentazione del procedimento ABF.
• Cinque anni per i documenti accessibili dal portale online.
• Dieci anni per i dati analizzati tramite sistemi di IA.

La differenziazione dei termini riflette la diversa rilevanza delle informazioni trattate e la necessità di conservare la documentazione utile al funzionamento del sistema ABF.

Assetto delle responsabilità e indicazioni operative

Il modello delineato dalla Banca d’Italia colloca la digitalizzazione in una funzione servente rispetto all’attività decisoria. L’efficienza nella gestione dei ricorsi può essere rafforzata dall’uso di strumenti tecnologici, purché restino preservati il controllo umano, la tracciabilità delle operazioni e la corretta delimitazione delle finalità del trattamento.

Per gli operatori, il punto essenziale non è l’automazione della decisione, ma la gestione responsabile dei dati personali: accessi controllati, minimizzazione, sicurezza, conservazione proporzionata e separazione chiara tra attività istruttoria assistita da strumenti tecnologici e decisione dell’organo competente.